Por Canuto  

El investigador onchain ZachXBT atribuyó a Crédit Mutuel Arkéa un presunto robo que superaría los USD $133 millones, pero la entidad no había confirmado públicamente el incidente. Su rastreo describe retiros de stablecoins y movimientos posteriores hacia ETH y XMR, mientras sigue sin conocerse el alcance definitivo de las pérdidas.

***

  • ZachXBT identificó al banco cooperativo francés como presunta víctima después de elevar su estimación inicial de más de USD $106 millones.
  • El investigador rastreó otros USD $27 millones en retiros y describió conversiones de USDC a ETH y XMR, además de movimientos entre cadenas.
  • Crédit Mutuel Arkéa no había confirmado públicamente el incidente, y las afirmaciones no habían sido verificadas independientemente por el banco ni por autoridades.

 

El investigador onchain ZachXBT estima que el presunto ataque a Crédit Mutuel Arkéa supera los USD $133 millones, aunque la entidad francesa no había confirmado públicamente el incidente.

Una estimación que aumentó en un día

El investigador onchain ZachXBT señaló a Crédit Mutuel Arkéa, banco cooperativo francés, como la presunta víctima de un exploit con pérdidas estimadas en más de USD $133 millones. La identificación llegó después de que describiera inicialmente el caso como un incidente que afectó a una entidad de la Unión Europea cuyo nombre no había revelado. Por tanto, el señalamiento sobre Arkéa continúa siendo una atribución del investigador, no una confirmación institucional.

Según el reporte de The Block, ZachXBT informó el 2 de noviembre que la entidad habría perdido más de USD $106 millones el día anterior mediante retiros desde varias cuentas en exchanges centralizados. Los fondos, de acuerdo con su rastreo, salieron en USDC y USDT, dos stablecoins mencionadas en el análisis, pero la información publicada no especifica qué plataformas ni qué cuentas habrían estado involucradas.

El 3 de noviembre, ZachXBT aumentó la cifra estimada tras identificar otros USD $27 millones en retiros, algunos posteriores a su primera divulgación. Con esa adición, situó el monto total por encima de USD $133 millones. El cálculo, sin embargo, corresponde a los movimientos que pudo rastrear y no equivale a un balance auditado de las pérdidas totales de la entidad.

Antes de dar el nombre del banco, el investigador había planteado que el caso podía involucrar a una gran institución financiera de Europa occidental y sugirió que el incidente estaba siendo encubierto. Esa afirmación forma parte de su interpretación de los hechos, no de una conclusión confirmada por autoridades o por la propia institución, y debe leerse con esa diferencia presente mientras no haya información oficial.

El recorrido atribuido a los fondos

ZachXBT describió una serie de movimientos posteriores a los retiros que, según dijo, se extendieron durante varios días. En un mensaje compartido el 2 de noviembre en su grupo de Telegram, afirmó que el actor ilícito intercambiaba agresivamente USDC por ETH y transfería fondos a servicios de intercambio instantáneo, entre ellos WellWallet y Kyrrex.

El investigador también sostuvo que parte de los activos se convirtió a XMR mediante Wagyu y que hubo transferencias entre distintas cadenas. Esos pasos describen la ruta que atribuye a los fondos rastreados; por sí solos no permiten determinar quién operó las transacciones ni confirmar el origen de cada activo, una distinción importante cuando el caso todavía depende de análisis externos.

El uso de varios activos y servicios puede complicar el seguimiento público de una ruta financiera, pero el material publicado no detalla cada transacción, sus montos individuales ni el destino final de los fondos. Por eso, la cifra de USD $133 millones debe entenderse como una estimación vinculada a los retiros identificados, no como prueba de que todo ese valor haya completado cada conversión descrita.

ZachXBT añadió que las pérdidas reales podrían ser mayores si se incorporara actividad extrabursátil, conocida como OTC, que no necesariamente queda reflejada de la misma manera que los movimientos visibles en exchanges. No presentó en el reporte una cifra adicional para esa posible actividad, de modo que no es posible calcular cuánto elevaría el total o si efectivamente tuvo lugar en este caso.

Vínculo con Lazarus y cuestionamientos sobre la respuesta

Sobre la identidad del atacante, ZachXBT dijo tener un “alto grado de confianza” en que no estaría asociado con Lazarus, grupo de Corea del Norte. La formulación expresa el nivel de convicción que atribuye a su propio análisis, pero no constituye una identificación definitiva del responsable ni una conclusión de las autoridades encargadas de investigar el incidente.

El investigador también criticó a la institución por supuestamente haber permitido el lavado de más de USD $30 millones. En su interpretación, una divulgación adecuada del incidente ante las fuerzas del orden de la Unión Europea podría haber permitido congelar fondos, aunque la información disponible no establece qué comunicaciones se hicieron, en qué momento ocurrieron ni qué opciones concretas tenían las autoridades.

Ese reproche depende de una secuencia que no se ha confirmado públicamente: primero, cuándo la entidad detectó los retiros; después, cuándo informó a las autoridades; y, finalmente, si había fondos que pudieran inmovilizarse. Sin esos datos, la crítica debe atribuirse a ZachXBT y no presentarse como un hallazgo comprobado sobre la actuación del banco o de los organismos europeos.

El señalamiento de Lazarus tampoco resuelve quién sería responsable del presunto exploit. La cautela del investigador sobre ese posible vínculo no sustituye una investigación oficial, y la información disponible no da cuenta de imputaciones, detenciones o conclusiones policiales que permitan ir más allá de la evaluación que él compartió.

El banco no confirma el incidente

Al momento de la publicación de la información citada, Crédit Mutuel Arkéa no había emitido una declaración pública para confirmar el incidente. The Block indicó que se había puesto en contacto con la entidad, pero que no había recibido respuesta, por lo que no había una versión oficial disponible que explicara la naturaleza de los retiros o el alcance de las posibles pérdidas.

El sitio web de Crédit Mutuel Arkéa informa que la entidad cuenta con 5 millones de clientes y €179.000 millones en activos totales. Estas cifras describen el tamaño del banco y no el monto presuntamente sustraído.

La escala de la institución ayuda a dimensionar el caso, pero no resuelve si existió una vulneración técnica, un acceso indebido a cuentas o alguna otra modalidad de operación. El material publicado no especifica el mecanismo del exploit, cómo se habrían obtenido las credenciales o autorizaciones ni qué controles estaban activos, por lo que cualquier explicación técnica más precisa excedería lo que se conoce.

Por ahora, la cifra de más de USD $133 millones, la atribución a Crédit Mutuel Arkéa y la ruta de los fondos descansan en el análisis de ZachXBT, sin verificación independiente del banco ni de las autoridades, según la información disponible. La confirmación de la entidad, una explicación sobre los retiros y datos adicionales sobre las comunicaciones con las fuerzas del orden serán claves para establecer qué ocurrió y cuánto se perdió realmente.

Imagen original de DiarioBitcoin, creada con inteligencia artificial, de uso libre, licenciada bajo Dominio Público.

Este artículo fue escrito por un redactor de contenido de IA y revisado por un editor humano para garantizar calidad y precisión.

 


ADVERTENCIA: DiarioBitcoin ofrece contenido informativo y educativo sobre diversos temas, incluyendo criptomonedas, IA, tecnología y regulaciones. No brindamos asesoramiento financiero. Las inversiones en criptoactivos son de alto riesgo y pueden no ser adecuadas para todos. Investigue, consulte a un experto y verifique la legislación aplicable antes de invertir. Podría perder todo su capital.

Suscríbete a nuestro boletín

Artículos Relacionados